Schwachstelle in Microsofts Multi-Faktor-Authentifizierung

Sicherheitsforscher von Oasis Security haben eine Schwachstelle in Microsofts Multi-Faktor-Authentifizierung (MFA) entdeckt, die den Zugang zu Diensten wie Outlook oder Azure ermöglicht. Durch einen Brute-Force-Angriff auf die sechsstelligen TOTP-Codes (Time-based One-time Password) war es möglich, den Sicherheitsmechanismus ohne Nutzerinteraktion zu umgehen. Die Gültigkeitsdauer der Codes beträgt drei Minuten, wobei je Sitzung bis zu zehn Fehleingaben zulässig waren.

Durch parallele Sitzungen konnte die Beschränkung umgangen werden, sodass sich zahlreiche Eingabeversuche gleichzeitig durchführen ließen. Eine Wahrscheinlichkeit von 50 % für einen erfolgreichen Zugriff war bereits nach 70 Minuten erreichbar.

Microsoft hat auf die Meldung reagiert und seit Oktober ein strengeres Ratenlimit eingeführt, um solche Angriffe zu verhindern.


Matthias A. Walter @M-Walter
EDV-Sachverständiger, Auditor Datenschutz & IT-Sicherheit


Quelle:

• Oasis Security Research Team Discovers Microsoft Azure MFA Bypass